github托管对于私人存储库有多安全？

Question

我已阅读this thread但我想知道这种解决方案有多安全？我知道github提供了ssh/ssl支持，并且我很熟悉，但是有人可以给我一个他们用来确保我的确认conf /凭证文件不被黑客攻击的内部安全性的细目。

编辑：我读过http://help.github.com/security/，但我想要一个与多个存储库主机合作过的人的回答，并具有与此有关的实际经验。

Answer 1

一段弦是多久？

这是一个很难回答的问题。

看着他们的security page他们似乎有几乎所有的覆盖，假设他们实际上做所有的东西。

你可能会说，把你的代码放在github上比把它存储在内部服务器上更安全，许多公司没有github描述的那么好的安装策略或安全策略。你的？

Answer 2

你也可以在你自己的服务器上运行Github的Enterprise installation。 20美元的许可证为5000美元/年。

Answer 3

最近我们尝试了github。

与我们以前的git托管（这是我们自己的linux虚拟服务器）相比，我对安全性并没有太大的印象。我们确实决定使用它，但只适用于保持代码隐私的项目并不是一个大问题。

即：

1. 有没有公司的控制，在全国各地的用户帐户。我们控制哪些用户可以访问我们的资源库，但没有密码策略，用户挑选自己的电子邮件地址等
2. 有没有办法来限制IP地址的访问
3. 密码只能由用户
复位
4. 妥协用户的电子邮件帐户（我们无法看到他们设置了哪个帐户）也会导致他们的github帐户的妥协，因为他们使用电子邮件质询来重置被遗忘的密码。
5. 没有访问日志（对于大多数或所有更改都有审计跟踪，但根本没有日志访问）
6. 访问Web前端仅受密码保护，因此容易受到其他用户的密码重用网站，并在某种程度上暴力强制（github关于他们对失败登录做什么的说法还不清楚）。

其中一两个我们可以活下去，但在组合他们基本上使github完全不适合。

他们最近添加了2个因子认证，并且有一个API，因此组织至少可以检查访问其存储库的用户是否启用了两个因子认证。虽然我不觉得这是真正的最佳解决方案，但它可能只是将github带到足够安全的地步，因此可以考虑用于私人回购。

正如mt3所指出的那样，您可以运行企业安装，这可能会显着提高安全性 - 但与标准github公司帐户之间的成本差异是惊人的，这可能意味着您错过了所有第三方与github集成的工具。

在非安全性说明中，他们至少现在至少支持年度计费，这有助于减少文书工作开销。

GitHub最近有announced new business plans with extra features - 这可以解决'1'/'4'/'5'。 （虽然它的一部分“正常运行时间保证”相当可笑 - 甚至不是“四九”，并且排除了定期维护以及他们认为“超出其合理控制范围”的任何事情 - 并且这不是实际担保，这只是一个小小的信贷你的下一张账单上限不得超过你账单的三分之一，基本上是非常谨慎的营销黄鼠狼的单词，而不是他们的任何承诺。）

Answer 4

他们过去曾发生过重大安全事件： http://www.h-online.com/security/news/item/GitHub-security-incident-highlights-Ruby-on-Rails-problem-1463207.html

坦率地说，我不会委托我想保密的代码（或任何其他敏感数据）到云中，除非它被加密并且只有我拥有密钥。